Die Entwicklungen, die das Register verändert haben, neueste zuerst, ergänzt durch aktuelle Schlagzeilen in der Seitenleiste. Für die maschinenlesbare Version nutzen Sie den RSS-Feed.
Gericht in New Mexico verpflichtet Facebook zur Zahlung von 25 Mrd. $ wegen Täuschung der Nutzer über den Datenschutz
Richter Francis Mathew setzte die zivilrechtliche Sanktion für die 43.899.725 vorsätzlichen Verstöße gegen den Unfair Practices Act fest, die eine Jury im September festgestellt hatte, darunter Erklärungen, wonach Nutzer kontrollierten, wie ihre Informationen weitergegeben werden, und wonach Facebook keine personenbezogenen Daten an Werbetreibende verkaufe oder zur Verfügung stelle. Das Gesetz erlaubte bis zu etwa 219,5 Mrd. $, und der Bundesstaat hatte 35 bis 40 Mrd. $ gefordert. Meta rechnet nach eigenen Angaben damit, in der Berufung zu obsiegen.
EU-Regierungen einigen sich auf ihre Position zu den Änderungen an DSGVO und Cookie-Regeln
Nachdem die Gespräche über den Schutz von Geschäftsgeheimnissen im Data-Act-Teil des Digital Omnibus ins Stocken geraten waren, einigten sich die Botschafter am 21. Oktober auf das Verhandlungsmandat des Rates. Es behält die Definition personenbezogener Daten der DSGVO bei und ergänzt eine Regel zur Pseudonymisierung, sieht Schutzvorkehrungen für sensible Daten vor, die bei der biometrischen Verifizierung und im KI-Training verwendet werden, nimmt Cookies, die zur Bereitstellung eines Dienstes erforderlich sind, sowie solche für die Reichweitenmessung oder die Gerätesicherheit von der Einwilligung aus und ersetzt die einzige EU-Meldestelle für Cybervorfälle durch nationale Meldestellen. Verhandlungen mit dem Parlament können erst beginnen, nachdem dessen federführende Ausschüsse abgestimmt haben, was Anfang 2027 erwartet wird.
Berliner Aufsichtsbehörde stuft Facebook-Microtargeting von vier Parteien als rechtswidrig ein
Die Berliner Datenschutzbehörde stellte fest, dass CDU, SPD, Grüne und Die Linke ihre Anzeigen zur Bundestagswahl 2021 rechtswidrig anhand politischer Interessen, die aus den Plattformprofilen der Nutzer abgeleitet wurden, gezielt an Nutzer ausgespielt haben, ohne eine Rechtsgrundlage wie eine Einwilligung. Die Parteien erhielten Verwarnungen statt Bußgelder, und das Verfahren gegen die AfD ist noch offen.
Chiles Senatsausschuss befürwortet die Verschiebung des Datenschutzgesetzes
Der Verfassungsausschuss des Senats billigte den Gesetzentwurf der Regierung, der das Gesetz 21.719 vom 1. Dezember 2026 auf den 1. Dezember 2027 verschieben und den Vorstand der Behörde auf fünf Mitglieder erweitern soll, einstimmig im Grundsatz, und die Regierung sagte zu, ihm sofortige Dringlichkeit einzuräumen. Der Ausschuss berät den Entwurf nun Artikel für Artikel; Vorschläge für einen stufenweisen Start liegen auf dem Tisch. Bis ein Gesetz veröffentlicht ist, bleibt der 1. Dezember 2026 das gesetzliche Datum.
Kalifornien schließt mit der Nachfolgegesellschaft von 23andMe einen Vergleich über 6 Mio. $
Chrome Holding Co., früher 23andMe, zahlt 6 Mio. $, um die Ansprüche Kaliforniens wegen der Datenschutzverletzung von 2023, bei der Daten von fast 7 Millionen Kunden offengelegt wurden, darunter mehr als 855.000 Einwohner Kaliforniens, sowie die Berufung des Bundesstaats gegen Gerichtsentscheidungen beizulegen, die dem Unternehmen erlaubten, 2025 genetische Daten und Proben an das TTAM Research Institute zu verkaufen, obwohl der Genetic Information Privacy Act eine gesonderte Einwilligung vorschreibt. Der Vergleich bedarf der Genehmigung des Insolvenzgerichts.
Texas verpflichtet Temu, Daten von Texanern auf Servern in den USA zu speichern, und Connecticut beruft sich in einem Vergleich wegen einer Datenschutzverletzung auf sein Datenschutzgesetz
Die Betreiber von Temu werden Texas 3 Mio. $ zahlen und die personenbezogenen Daten von Texanern auf Servern in den Vereinigten Staaten speichern, die in amerikanischem Besitz sind und unter amerikanischer Kontrolle stehen, wobei der Zugriff aus China auf wesentliche Geschäftsfunktionen beschränkt ist und für jedes Jahr, in dem gegen eine Datensicherheitsbestimmung verstoßen wird, eine Strafzahlung von 8 Mio. $ fällig wird. Am selben Tag schloss Connecticut mit Frontier Communications einen Vergleich über 625.000 $ wegen einer Datenschutzverletzung vom April 2024, bei der die Sozialversicherungsnummern von 58.841 Einwohnern offengelegt wurden; der Vergleich enthält Compliance-Auflagen nach dem Connecticut Data Privacy Act sowie nach den Gesetzen des Bundesstaates gegen unlautere Geschäftspraktiken und über Schutzmaßnahmen für Daten.
Berufungsgericht lässt Florida und Georgia ihre Social-Media-Gesetze für Jugendliche durchsetzen
Das Bundesberufungsgericht für den elften Bezirk (Eleventh Circuit) hob die Unterlassungsanordnung gegen Floridas HB 3 auf, das Kindern unter 14 Jahren Konten auf Plattformen mit suchtfördernden Funktionen untersagt und bei 14- und 15-Jährigen die Einwilligung der Eltern verlangt, mit der Feststellung, dass das Gesetz wahrscheinlich inhaltsneutral ist. Einen Tag später hob derselbe Senat die Unterlassungsanordnung gegen Georgias SB 351 auf, das eine Altersverifizierung, die Einwilligung der Eltern für Nutzer unter 16 Jahren und Beschränkungen für die personenbezogenen Daten vorschreibt, mit denen diesen Nutzern gezielt Werbung ausgespielt wird, und befand, dass NetChoice bei einer Anfechtung des Gesetzes als solches (facial challenge) seiner Beweislast nicht nachgekommen sei und dass die Werbebeschränkung nicht durch Section 230 verdrängt werde. Beide Verfahren gehen an die Bezirksgerichte zurück.
EDSA legt dar, wann Nutzer von Smart Glasses zu Verantwortlichen werden
Die in der Plenarsitzung im Oktober angenommene Erklärung 1/2026 hält fest, dass Träger von Smart Glasses der DSGVO unterliegen, wenn sie Aufnahmen öffentlich posten oder die Brille für berufliche, amtliche oder politische Tätigkeiten nutzen, während die private Nutzung unter die Haushaltsausnahme fällt. Hersteller und Anbieter von Apps bleiben für ihre eigene Verarbeitung Verantwortliche, können ihre Pflichten nicht auf die Nutzer abwälzen und sollen umstehenden Personen deutliche Aufnahmesignale wie Lichter oder Töne geben.
Norwegen verhängt 92 Mio. NOK Bußgeld gegen Xandr wegen Grindr-Daten beim Real-Time-Bidding
Die Entscheidung des Datatilsynet vom 2. Oktober behandelt die Adtech-Einheit von Microsoft sowohl auf der Angebots- als auch auf der Nachfrageseite als gemeinsam Verantwortliche für die Werbe-IDs und IP-Adressen von Grindr-Nutzern sowie für die Tatsache, dass sie die App genutzt haben, was sie als Daten zur sexuellen Orientierung wertet. Darin wird eine Verarbeitung ohne Rechtsgrundlage nach Artikel 6 Absatz 1 und ohne gültige Ausnahme nach Artikel 9 Absatz 1 festgestellt. Das Bußgeld beträgt rund 8,6 Mio. EUR.
Kaliforniens zentrales Löschtool für Datenhändler überschreitet die Marke von 560.000 Nutzern
CalPrivacy hat seine erste Delete Week eröffnet und meldet, dass sich mehr als 560.000 Einwohner Kaliforniens bei DROP registriert haben, der Plattform des Delete Act, die einen einzigen Löschantrag an mehr als 660 registrierte Datenhändler sendet, und dass die Datenhändler seit der Öffnung der Plattform für sie am 1. August fast 100 Millionen gelöschte Verbraucherprofile gemeldet haben.
EU-Regierungen können sich nicht auf ihre Position zu den Änderungen an DSGVO und Cookie-Regeln einigen
Der Kompromiss der irischen Ratspräsidentschaft vom 2. Oktober zum Datenpaket des Digital Omnibus belässt die Cookie-Einwilligung in der ePrivacy-Richtlinie, statt sie in die DSGVO zu überführen, streicht die Pflicht, Einwilligungssignale von Browsern zu beachten, erlaubt Websites, vier Monate nach einer Ablehnung erneut zu fragen, beschränkt Meldungen von Datenschutzverletzungen auf Vorfälle mit hohem Risiko mit einer Frist von 96 Stunden und lässt ein berechtigtes Interesse für das KI-Training zu, vorbehaltlich des Widerspruchsrechts. Die Botschafter beendeten ihre Sitzung am 7. Oktober ohne Mandat, wobei Deutschland und andere Regierungen auf einen stärkeren Schutz von Geschäftsgeheimnissen im Data-Act-Teil des Pakets drängten, und das Dossier wurde von ihrer Tagesordnung für den 11. Oktober ohne neuen Termin gestrichen. Für Werbetreibende ändert sich nichts, bis sich Rat und Parlament auf einen endgültigen Text geeinigt haben.
Washingtons oberstes Gericht weist Wiretap-Klage wegen Meta Pixel ab
In der Rechtssache Baker v. Seattle Children's Hospital entschied der Supreme Court von Washington, dass Suchanfragen und Klicks auf einer öffentlichen Website, die ein automatisierter Server beantwortet, keine Kommunikation zwischen zwei oder mehr Personen im Sinne des Privacy Act des Bundesstaats sind, der die Einwilligung aller Beteiligten verlangt, und bestätigte die Abweisung der Klagen, mit denen geltend gemacht wurde, dass der Meta Pixel des Krankenhauses gesundheitsbezogene Suchanfragen an Meta übermittelt habe. Offen ließ das Gericht die Kommunikation mit menschlichen Mitarbeitern und mit Systemen, die mehr tun, als gespeicherte Inhalte zurückzugeben.
Saudi-Arabien schlägt vor, personenbezogene Daten im Königreich zu speichern
Die SDAIA hat ein Konsultationsverfahren eröffnet, das bis zum 5. November läuft, zu Änderungen der Durchführungsverordnungen zum PDPL, die Verantwortliche verpflichten würden, personenbezogene Daten in Saudi-Arabien zu speichern, rechtmäßige Übermittlungen aber weiterhin zuließen, eine Meldung von Datenschutzverletzungen an die SDAIA binnen 72 Stunden ohne Schadensschwelle vorschreiben, die Registrierung für Verantwortliche, die Daten ins Ausland übermitteln oder sensible Daten verarbeiten, verpflichtend machen und die Pflichten zu Datenschutzbeauftragten und Folgenabschätzungen ausweiten würden. Genehmigte Änderungen würden 60 Tage nach der Veröffentlichung im Amtsblatt in Kraft treten.
Chilenische Senatoren setzen der einjährigen Verschiebung der Regierung sechs Monate entgegen
Der Gesetzentwurf der Regierung würde das Gesetz 21.719 vom 1. Dezember 2026 auf den 1. Dezember 2027 verschieben und den Vorstand der neuen Behörde auf fünf Mitglieder erweitern; der Vorsitzende des Verfassungsausschusses des Senats, Pedro Araya, sowie die Senatoren Matías Walker und Juan Luis Castro halten ein Jahr für zu lang und schlagen eine Verschiebung um etwa sechs Monate oder einen stufenweisen Start vor. Der Ausschuss hatte seine Beratung noch nicht aufgenommen, sodass der 1. Dezember 2026 das gesetzliche Datum bleibt.
Italien verhängt 7 Mio. EUR Bußgeld gegen IQVIA wegen nie anonymisierter Patientendaten
Die Garante stellte fest, dass IQVIA Solutions Italy für Studien im Auftrag von Pharmaunternehmen die Datensätze von rund einer Million Patienten von 800 Hausärzten unter Codes vorhielt, die eine Nachverfolgung über die Zeit erlaubten, ohne Rechtsgrundlage, ohne Datenschutz-Folgenabschätzung und ohne Speicherfrist (Datensätze reichten bis 2001 zurück), und dass bei mehr als 3.300 Patienten Name, Steuernummer und Anschrift zusammen mit Gesundheitsdaten gespeichert waren. Das Unternehmen hat 120 Tage Zeit, die Verarbeitung in Ordnung zu bringen.
Connecticuts Verbot des Geolokalisierungsverkaufs und Marylands Gesetz zu Supermarktpreisen treten in Kraft
Public Act 26-64 (SB 4) untersagt Verantwortlichen und Dritten nun den Verkauf präziser Geolokalisierungsdaten, engt die Ausnahme für öffentlich verfügbare Daten ein und verpflichtet Unternehmen, die Gesichtserkennung zu Sicherheitszwecken einsetzen, nur gegen eigene Datenbanken abzugleichen und am Eingang Hinweisschilder mit Link zu ihrer Richtlinie anzubringen. Das Datenhändlerregister beim Department of Consumer Protection (2.500 $ pro Jahr) öffnet am 1. Januar 2027, der staatliche Löschmechanismus soll bis 1. Juli 2028 stehen. Connecticuts CART Act zur künstlichen Intelligenz (PA 26-15) trat am selben Tag in Kraft. In Maryland verbietet HB 895 großen Lebensmittelhändlern und Lieferdiensten, personenbezogene Daten oder dynamische Preise zu nutzen, um einzelnen Kunden mehr zu berechnen; die Durchsetzung liegt beim Attorney General mit einer Nachbesserungsfrist von 45 Tagen.
Kalifornien unterzeichnet die CIPA-Pen-Register-Reform und schließt seine Sitzungsperiode 2026 ab
Gouverneur Newsom unterzeichnete SB 690 am letzten Tag der Unterzeichnungsfrist. Ab 1. Januar 2027 darf nur noch der Attorney General wegen Pen-Register- und Trap-and-Trace-Ansprüchen nach Section 638.51 des Penal Code klagen, die aus Websites und Apps herrühren, und die Beschränkung gilt rückwirkend für anhängige Ansprüche in Verfahren, die in den zwei Jahren vor diesem Datum eingereicht wurden. Das beendet die privaten Sammelklagen, die Website-Tracking zu einer CIPA-Industrie gemacht hatten. Am 27. September hatte er AB 2561 unterzeichnet, das Betriebssysteme und Apps daran hindert, die Datenschutzeinstellungen eines Nutzers ohne dessen Einwilligung zurückzusetzen, und er legte sein Veto gegen SB 1130 zu tragbaren Aufzeichnungsgeräten ein.
Die ICO wird zur Information Commission
Die Sections 117 bis 119 des Data (Use and Access) Act 2025 traten mit SI 2026/1015 in Kraft; sie schaffen das Amt des Information Commissioner ab und übertragen seine Aufgaben auf eine vom Verwaltungsrat geführte Information Commission, mit Paul Arnold als Chief Executive und Maggie Carver als kommissarischer stellvertretender Vorsitzender, bis ein ständiger Vorsitz besetzt ist. Die Behörde behält den Namen ICO im Alltag, und ihre Befugnisse bleiben unverändert.
Kalifornien stoppt das Verbot des Verkaufs sensibler Daten per Veto und unterzeichnet die Gesetze zu Löschung und Datenhändlern
Gouverneur Newsom schickte AB 1542 ohne seine Unterschrift zurück und begründete dies damit, dass ein kategorisches Verbot der Weitergabe sensibler personenbezogener Daten zu weit gehe, da Verbraucher bereits ein Recht hätten, deren Nutzung einzuschränken, und dass das Gesetz Kosten verursache, die im Haushalt 2026 nicht vorgesehen seien. Am selben Tag unterzeichnete er SB 923, das das Löschrecht des CCPA auf Daten ausweitet, die ein Unternehmen von Dritten erhalten hat, und reine Online-Unternehmen verpflichtet, ein Webformular für Anfragen anzubieten, sowie AB 883, das einen zugänglichen Löschmechanismus für Datenhändler und ein Löschverfahren für gewählte Amtsträger und Richter einführt. Beide treten am 1. Januar 2027 in Kraft. SB 690, die CIPA-Pen-Register-Reform, und AB 2561 zu Datenschutzeinstellungen lagen noch auf seinem Schreibtisch, mit dem 30. September als Frist.
Jury in New Mexico stellt fest, dass Facebook Nutzer 43,9 Millionen Mal über den Datenschutz getäuscht hat
In der Rechtssache State of New Mexico v. Facebook stellte eine Jury 43.899.725 vorsätzliche Verstöße gegen den Unfair Practices Act fest, darunter Erklärungen, wonach Nutzer kontrollierten, wie ihre Informationen weitergegeben werden, und wonach Facebook keine personenbezogenen Daten an Werbetreibende verkaufe oder zur Verfügung stelle, sowie seine Folgezusagen im Anschluss an Cambridge Analytica. Das Gesetz sieht bis zu 5.000 $ je vorsätzlichem Verstoß vor; der Richter legt die Sanktion in einer gesonderten Phase fest, wobei der Bundesstaat 35 bis 40 Mrd. $ fordert.
TikTok zieht seine Rechtsmittel zurück und akzeptiert das Bußgeld der ICO von 12,7 Mio. GBP
TikTok zog seinen Einspruch gegen das Bußgeld von 2023 wegen der Verarbeitung personenbezogener Daten britischer Kinder unter 13 Jahren ohne elterliche Einwilligung zurück, ebenso wie seinen Einspruch gegen eine Auskunftsanordnung dazu, wie seine Empfehlungssysteme die Daten von 13- bis 17-Jährigen verarbeiten. Der Rückzug folgte auf eine Entscheidung des Upper Tribunal vom August, die TikToks Argument künstlerischer Zwecke zurückwies, und die ICO erklärt, sie werde diese Untersuchung nun vorantreiben. Die Behörde selbst wird am 30. September nach dem Data (Use and Access) Act 2025 zur vom Verwaltungsrat geführten Information Commission.
Philippinen verwarnen Meta, Roblox, Reddit und Discord
Die Nationale Datenschutzkommission hat den vier Plattformen Aufforderungen zur Stellungnahme wegen Registrierungspflichten nach dem Datenschutzgesetz zugestellt, im Rahmen einer verstärkten Prüfung des Umgangs digitaler Plattformen mit Kinderdaten.
Irland verhängt Bußgeld von 403 Mio. EUR gegen Google wegen Standortdaten
Die Datenschutzkommission stellte fest, dass Google zwischen Mai 2018 und Februar 2020 Standortdaten aus dem Standortverlauf und der Web- & App-Aktivität rechtswidrig und unfair verarbeitet hat, bei diesen Funktionen und bei der Standortgenauigkeit die Transparenzpflichten verfehlte und Standortdaten zu lange aufbewahrte. Google hat sechs Monate Zeit, seine Verarbeitung rechtskonform zu gestalten.
EDSA schlägt einheitliche Methode zur Entscheidung über Bußgelder vor
Der EDSA hat die Leitlinien 04/2026 zur Frage verabschiedet, ob Bußgelder verhängt werden sollen, eine fünfstufige Methode, die seine Leitlinien von 2022 zur Berechnung von Bußgeldern ergänzt, und eine Konsultation bis zum 13. November eröffnet. Zudem hat er die endgültige Fassung seiner Leitlinien zum Zusammenspiel zwischen dem Digital Services Act und der DSGVO verabschiedet.
Koreas Bußgeldobergrenze von 10 % tritt in Kraft
Eine im Februar verabschiedete Änderung des PIPA erlaubt nun Bußgelder von bis zu 10 % des Gesamtumsatzes bei wiederholten vorsätzlichen Verstößen, Vorfällen mit 10 Millionen oder mehr betroffenen Personen und Verstößen nach einer missachteten Korrekturanordnung.
Delaware senkt die Schwellenwerte seines Datenschutzgesetzes auf 10.000 Verbraucher
HB 380, von Gouverneur Meyer unterzeichnet, senkt ab 1. Januar 2027 die Schwelle für die Anwendbarkeit des Delaware Personal Data Privacy Act von 35.000 Verbrauchern auf 10.000 oder, wenn mehr als 20 % des Bruttoumsatzes aus dem Verkauf personenbezogener Daten stammen, auf 5.000. Außerdem fügt es den sensiblen Daten Rückschlüsse und neue Kategorien hinzu, weitet das Opt-in für Jugendliche auf Profiling aus, beschränkt den Verkauf sensibler Daten auf das, was ein vom Verbraucher angeforderter Dienst unbedingt benötigt, und verlangt Verträge sowie Due-Diligence-Prüfungen bei Offenlegungen gegenüber Dritten.
Chile will neues Datenschutzgesetz um ein Jahr verschieben
Die Regierung hat einen dringlichen Gesetzentwurf eingebracht, um den Starttermin von Gesetz 21.719 von 1. Dezember 2026 auf 1. Dezember 2027 zu verschieben und den Vorstand der neuen Behörde von drei auf fünf Mitglieder zu vergrößern, nachdem der Senat die Kandidaten abgelehnt hatte und die Behörde nicht gebildet werden konnte. Bis der Kongress entscheidet, bleibt 1. Dezember 2026 das gesetzliche Datum.
Kalifornien legt dem Gouverneur ein Verkaufsverbot für sensible Daten und eine CIPA-Reform vor
Das Parlament beendete seine Sitzungsperiode mit der Verabschiedung von acht Datenschutz-Gesetzentwürfen, angeführt von AB 1542, der das Opt-out der CCPA für sensible personenbezogene Daten durch ein Verbot ihres Verkaufs oder ihrer Weitergabe ersetzen würde, sowie SB 690, der private Klagen wegen Pen-Register-Erfassung nach CIPA für Website- und App-Tracking rückwirkend beenden würde. SB 923 weitet die Löschpflicht auf Daten aus, die ein Unternehmen über einen Verbraucher von Dritten erhalten hat, AB 883 verschärft die Fristen für Datenmakler, und AB 2561 würde Betriebssystemen und Apps untersagen, die Datenschutzeinstellungen der Nutzer zu überschreiben. Gouverneur Newsom hat bis zum 30. September Zeit, unterzeichnete Gesetze treten 1. Januar 2027 in Kraft. Der bereits unterzeichnete AB 2246 hat den gerichtlich blockierten Age-Appropriate Design Code schon ersetzt.
Die Niederlande verhängen ein Bußgeld von 825 Mio. EUR gegen Uber wegen vollautomatisierter Deaktivierungen von Fahrern
Die Autoriteit Persoonsgegevens verhängte gegen Uber 824.990.000 EUR, weil das Unternehmen Fahrerkonten durch eine vollautomatisierte Entscheidung deaktiviert hatte, und zwar wegen mutmaßlichen Betrugs oder niedriger Kundenbewertungen und ohne menschliche Überprüfung, sowie weil es die Fahrer nicht ausreichend über diese automatisierte Entscheidungsfindung informiert hatte. Es ist das zweitgrößte bisher verhängte DSGVO-Bußgeld, und Uber hat Rechtsmittel eingelegt.
Vietnam setzt Bußgelder von bis zu 5 % des Umsatzes für unrechtmäßige Datenübermittlungen fest
Das Dekret 330/2026/ND-CP, das am Tag seines Erlasses in Kraft trat, legt die Sanktionen für das Gesetz zum Schutz personenbezogener Daten fest: Bußgelder von bis zu 3 Mrd. VND bei Verstößen gegen den Schutz personenbezogener Daten, bis zum Zehnfachen der Erlöse beim unrechtmäßigen Handel mit personenbezogenen Daten und bis zu 5 % des Vorjahresumsatzes in Vietnam, wenn eine unrechtmäßige grenzüberschreitende Übermittlung zu Datenabfluss oder Datenverlust führt, gestaffelt nach der Zahl der betroffenen Personen. Einzelpersonen zahlen die Hälfte des Satzes für Organisationen.
Türkei schränkt gezielte Werbung gegenüber Kindern ein
Änderungen an der türkischen Werbeverordnung traten in Kraft: Gezielte Werbung muss Verbrauchern mitteilen, anhand welcher Kriterien sie ausgewählt wurden und wie sie diese ändern können, profilbasiertes Targeting bekannter Kinder ist verboten, und KI-generierte Empfehlungen müssen gekennzeichnet werden.
Japan verkündet seine APPI-Novelle
Das Parlament verabschiedete am 10. Juli die im Dreijahresturnus fällige Novelle zum Gesetz zum Schutz personenbezogener Informationen, verkündet am 17. Juli als Gesetz Nr. 56 von 2026. Die Strafvorschriften treten am 17. Januar 2027 in Kraft, der Rest, darunter Verwaltungszuschläge, Ausnahmen von der Einwilligungspflicht für KI und Statistik sowie die elterliche Einwilligung für unter 16-Jährige, bis 17. Juli 2028.
Vietnams neues Cybersicherheitsgesetz tritt in Kraft
Vietnams konsolidiertes Cybersicherheitsgesetz trat am 1. Juli 2026 in Kraft und vollendete damit einen 2025 begonnenen Umbau aus drei Gesetzen (PDPL, Datengesetz, Cybersicherheitsgesetz), der ausländische Plattformen mit mehrstufigen Melde- und Einstufungspflichten belastet.
Die Änderungswelle vom 1. Juli in den Bundesstaaten: Connecticut, Utah, Arkansas und Virginia
Connecticuts CTDPA-Änderungen traten in Kraft und senkten die Anwendungsschwelle auf 35.000 Einwohner, wodurch nun jedes Unternehmen erfasst ist, das sensible Daten verarbeitet oder personenbezogene Daten verkauft; zudem wurden Folgenabschätzungen für signifikantes Profiling ergänzt. Utahs Änderungen traten am selben Tag in Kraft, Virginia verbot den Verkauf präziser Standortdaten, und Arkansas' Children and Teens' Online Privacy Protection Act weitete COPPA-ähnliche Regeln auf Jugendliche aus und verbot gezielte Werbung an Minderjährige. Arkansas hat weiterhin kein umfassendes Verbraucherdatenschutzgesetz.
EU-Rat verabschiedet den KI-Teil des Digital Omnibus
Der Rat verabschiedete formell den Digital Omnibus zur KI, der Teile des AI Act verschiebt und anpasst. Die Datenschutzhälfte, die die DSGVO und die Cookie-Regeln ändern würde, wird weiterhin verhandelt; der Ratstext vom Juni strich dabei die Pflicht zum Ablehnen mit einem Klick sowie das Moratorium für Consent-Banner.
Kameruns Datenschutzgesetz tritt vollständig in Kraft
Die 18-monatige Übergangsfrist nach Gesetz Nr. 2024/017 endete, sodass dessen Pflichten nun gelten, auch wenn das Präsidialdekret zur Einrichtung der Aufsichtsbehörde noch nicht erlassen wurde.
Zweite Welle der DUAA-Bestimmungen im Vereinigten Königreich tritt in Kraft
Weitere Bestimmungen des Data (Use and Access) Act 2025 traten am 19. Juni 2026 in Kraft, ein Jahr nach der königlichen Zustimmung, darunter die Pflicht für Verantwortliche, Datenschutzbeschwerden zu bearbeiten. Die stufenweise Einführung begann am 5. Februar mit dem zentralen Datenschutzpaket.
Korea verhängt Rekordstrafe von 624,7 Mrd. KRW gegen Coupang
Die Personal Information Protection Commission verhängte gegen Coupang ein Bußgeld wegen einer Datenschutzverletzung, die 37,5 Millionen Menschen betraf, sowie separat 201,1 Mrd. KRW für die Erfassung der Aktivitäten von 11,17 Millionen Mitgliedern auf Websites und in Apps Dritter über das Partnerprogramm Coupang Partners. Die Gesamtsumme ist ein koreanischer Rekord.
Connecticut verbietet den Verkauf präziser Standortdaten
Gouverneur Lamont unterzeichnete SB 4, der den Verkauf präziser Standortdaten verbietet und ab 1. Oktober 2026 Transparenzpflichten für Gesichtserkennung einführt. Begleitende Gesetzentwürfe schränken ab demselben Datum Überwachungspreise ein und schaffen ab 1. Januar 2027 eine Registrierungspflicht für Datenmakler.
Kalifornien einigt sich mit GM über 12,75 Mio. $ wegen Fahrdaten
Die Generalstaatsanwaltschaft, die Kalifornische Datenschutzbehörde (CPPA) und lokale Staatsanwaltschaften einigten sich mit General Motors auf eine Zahlung von 12,75 Mio. $ wegen Fahrverhaltens- und Standortdaten, die ohne Einwilligung der Verbraucher an Datenmakler verkauft worden waren; die bislang größte Einigung im Rahmen der CCPA.
Italien verlangt Einwilligung für Tracking-Pixel in Marketing-E-Mails
Die Leitlinien der Garante zu Tracking-Pixeln in E-Mails (Provvedimento 284 vom 17. April 2026), veröffentlicht in der Gazzetta Ufficiale am 29. April, wenden die Regel des Datenschutzkodex zum Gerätezugriff auf das Öffnen von E-Mails an: Die Messung des Öffnens durch einzelne Empfänger, die Anpassung der Versandhäufigkeit je nach Engagement und das Profiling des Leseverhaltens erfordern eine vorherige Einwilligung, die neben der Marketing-Einwilligung stehen kann, wenn die Einwilligungsabfrage neutral gestaltet ist und die Einwilligung selektiv widerrufen werden kann. Ausgenommen sind die anonymisierte aggregierte Messung der Öffnungsrate, Sicherheits- und Authentifizierungsnachrichten sowie vorgeschriebene Servicemitteilungen, und Versender haben sechs Monate Zeit, bis zum 29. Oktober 2026, um die Vorgaben einzuhalten.
Bangladesch erlässt sein Personal Data Protection Act
Der Personal Data Protection Act, 2026 ersetzte die Verordnung der Übergangsregierung von 2025 und gilt seit 6. November 2025 als in Kraft, mit Ausnahme der Bestimmungen zum Chief Data Officer, zu Beschwerden, Bußgeldern und Entschädigungen, die eine behördliche Bekanntmachung frühestens 18 Monate nach Erlass abwarten. Ein gesondertes Gesetz schafft die National Data Management Authority als Aufsichtsbehörde.
Japans Kabinett billigt Gesetzentwurf zur APPI-Novelle
Japans Kabinett billigte die im Dreijahresturnus fällige APPI-Novelle und leitete sie an das Parlament weiter: Ausnahmen von der Einwilligungspflicht für Statistik und KI-Entwicklung, elterliche Einwilligung für unter 16-Jährige und eine stärkere Durchsetzung durch die PPC, wobei die Umsetzung durch PPC-Regeln folgen soll.
EDSA startet seine fünfte koordinierte Durchsetzungsaktion
Der EDSA startete am 19. März sein koordiniertes Durchsetzungsprogramm für 2026, das ein einzelnes Compliance-Thema gleichzeitig bei Dutzenden nationalen Behörden untersucht, die jährliche Aktion, die zuvor bereits Datenschutzbeauftragte, Auskunftsrechte und Löschung behandelt hat.
Brasiliens ECA Digital tritt in Kraft
Brasiliens Gesetz zum Online-Schutz von Kindern und Jugendlichen trat sechs Monate nach seinem Erlass im September 2025 in Kraft. Es verlangt Altersverifizierung und Instrumente für Eltern, verbietet profilbasierte Werbung gegenüber Minderjährigen und wird von der ANPD durchgesetzt, die im Februar zu einer vollwertigen Aufsichtsbehörde wurde.
Burundi erlässt sein erstes Datenschutzgesetz
Gesetz Nr. 1/03 trat mit seiner Verkündung in Kraft und räumt dem privaten Sektor sechs Monate und dem öffentlichen Sektor ein Jahr zur Einhaltung ein. Die dadurch geschaffene Personal Data Protection Agency benötigt noch ein Durchführungsdekret.
Datenschutzbestimmungen des britischen DUAA treten in Kraft
Der Großteil der Änderungen des Data (Use and Access) Act an der UK GDPR, dem DPA 2018 und der PECR trat am 5. Februar 2026 im Rahmen von SI 2026/82 in Kraft, während die ICO ihre Leitlinien in Eile fertigstellt und ankündigt, das Verhalten von Unternehmen anhand der jeweils zum betreffenden Zeitpunkt geltenden Regeln zu bewerten.
Saudi-Arabien veröffentlicht seine ersten Durchsetzungsentscheidungen zum PDPL
Die Verstoßausschüsse der SDAIA gaben 48 Entscheidungen nach dem Personal Data Protection Law bekannt, darunter Bußgelder für den Versand von Werbe- und Marketingnachrichten ohne Einwilligung der Empfänger. Die Höhe der Bußgelder wurde nicht bekannt gegeben.
Drei weitere US-Bundesstaatengesetze zum Datenschutz treten in Kraft
Die umfassenden Gesetze von Indiana, Kentucky und Rhode Island traten am 1. Januar 2026 in Kraft, womit sich die Zahl der Staaten mit geltendem Gesetz auf zwanzig erhöht. Rhode Island startet mit einem Schwellenwert von 35.000 Verbrauchern, einem der niedrigsten im Land, und ohne Nachbesserungsfrist.
Vietnams Datenschutzgesetz tritt in Kraft
Gesetz 91/2025 und das Durchführungsdekret 356/2025 ersetzten Dekret 13 und hoben Vietnams auf Einwilligung ausgerichtetes Datenschutzregime vom Dekret auf Gesetzesrang, mit Folgenabschätzungen, die beim Ministerium für öffentliche Sicherheit einzureichen sind.
Kaliforniens Vorschriften zu ADMT, Risikoabschätzungen und Audits treten in Kraft
Das Regelwerk der CPPA zu automatisierten Entscheidungstechnologien, Risikoabschätzungen und Cybersicherheits-Audits trat am 1. Januar 2026 mit stufenweiser Umsetzung in Kraft. Die Rechte zu automatisierten Entscheidungen (Hinweis vor der Nutzung, Auskunft und Opt-out) werden am 1. Januar 2027 wirksam, und die Zertifizierungen für Cybersicherheits-Audits werden ab April 2028 schrittweise eingeführt. Zusammen sind sie die größte Erweiterung der CCPA-Pflichten seit der CPRA selbst.
Bruneis Personal Data Protection Order tritt in Kraft
Die meisten materiellen Pflichten nach der Personal Data Protection Order 2025 traten nach einer einjährigen Übergangsfrist in Kraft, womit Bruneis erstes Datenschutzgesetz für den Privatsektor durch die AITI durchsetzbar wird.
Heilungsfrist in Delaware läuft ab
Die Nachbesserungsfrist von Delawares DPDPA endete am 31. Dezember 2025, das erste von mehreren Auslaufdaten (Montana folgt am 1. April 2026), ab denen die Generalstaatsanwälte der Bundesstaaten ohne vorherige Abhilfewarnung direkt zu Bußgeldern übergehen können.
Europäische Kommission schlägt den Digital Omnibus vor
Die Kommission schlug ihr Digital-Omnibus-Paket vor, das Änderungen an DSGVO und ePrivacy (Cookies werden in die DSGVO integriert, maschinenlesbare Einwilligungssignale, eine zentrale Meldestelle für Datenschutzverletzungen, eine engere Definition personenbezogener Daten) mit Änderungen am AI Act verknüpft. Der EDSA und der EDSB unterstützten später in einer gemeinsamen Stellungnahme das Vereinfachungsziel, äußerten dabei jedoch zentrale Bedenken.
Indien macht die DPDP Rules bekannt und setzt damit die Compliance-Frist in Gang
MeitY machte die DPDP Rules 2025 am 13. November bekannt, wodurch die Bestimmungen zur Einrichtung des Data Protection Board unmittelbar in Kraft traten. Die Bestimmungen zu Einwilligungsmanagern folgen am 13. November 2026, und die materiellen Pflichten, die Durchsetzungsbefugnisse des Ausschusses sowie Bußgelder von bis zu 2,5 Mrd. INR gelten ab 13. Mai 2027.
Israels 13. Novelle tritt in Kraft
Die größte Reform des israelischen Datenschutzrechts seit 1981 ist in Kraft getreten und stattet die Datenschutzbehörde mit Bußgeldbefugnissen und modernen, an die DSGVO angelehnten Begriffsbestimmungen aus.
Kommission strebt Verlängerung der Angemessenheitsentscheidung für das Vereinigte Königreich bis Dezember 2031 an
Die Kommission veröffentlichte Entwurfsentscheidungen zur Verlängerung beider Angemessenheitsbeschlüsse für das Vereinigte Königreich nach Prüfung des Gesetzes über Datennutzung und -zugang (DUAA). Die Verlängerungen wurden abgeschlossen, bevor die alten Beschlüsse Ende 2025 ausliefen, und gelten bis 27. Dezember 2031, vorbehaltlich einer laufenden Überwachung.
Vietnam verabschiedet sein Gesetz zum Schutz personenbezogener Daten
Die Nationalversammlung verabschiedete das Gesetz Nr. 91/2025/QH15, das Vietnam ab 1. Januar 2026 ein Datenschutzgesetz auf Gesetzesebene verschafft und das einwilligungsbasierte, anmeldeintensive Modell aus Dekret 13 bestätigt.
Britisches Gesetz über Datennutzung und -zugang (DUAA) erhält königliche Zustimmung
Das DUAA wurde erlassen und änderte die UK-DSGVO, den DPA 2018 und die PECR: Es führte anerkannte berechtigte Interessen, Klarstellungen zum Direktmarketing und Cookie-Ausnahmen ein und hob die PECR-Bußgelder auf das Niveau der UK-DSGVO an.
Russlands umsatzbasierte Bußgelder für Datenlecks treten in Kraft
Russlands Reform der Haftungsregeln führte umsatzbasierte Bußgelder (bis zu 3 % des Umsatzes) für Datenlecks sowie eine strafrechtliche Haftung für Datenhandel ein und erhöhte damit deutlich die Kosten von Verstößen, bei denen Daten russischer Bürger betroffen sind.
Mexikos neues Bundesdatenschutzgesetz tritt in Kraft
Das überarbeitete LFPDPPP trat einen Tag nach seiner Veröffentlichung in Kraft: Es bewahrt die ARCO-Rechte und die stillschweigende Einwilligung, verlagert die Durchsetzung jedoch vom aufgelösten INAI auf die der Exekutive unterstellte SABG.
Kommission leitet Rücknahme der ePrivacy-Verordnung ein
Im Arbeitsprogramm 2025 der Kommission wurde die ePrivacy-Verordnung nach fast einem Jahrzehnt des Stillstands zur Rücknahme vorgesehen, sodass die Richtlinie von 2002 und ihre 27 nationalen Umsetzungen auf absehbare Zeit das Cookie-Recht der EU bleiben.
Kanadas Datenschutzreform scheitert an der Vertagung des Parlaments
Bill C-27, mit dem PIPEDA durch die CPPA ersetzt und ein KI-Gesetz eingeführt worden wäre, scheiterte, als das Parlament im Januar 2025 vertagt wurde; Kanadas Bundesregime bleibt damit ohne Bußgeldbefugnisse, während Quebecs Gesetz 25 den nationalen Takt vorgibt.